Datenschutz-Folgenabschätzung (DSFA) für KI-Systeme: Artikel 35 DSGVO
Die DSFA ist eine DSGVO-Pflicht, keine Pflicht der KI-Verordnung. Wann KI-Systeme sie brauchen und wie sie zur FRIA steht.
Eine Datenschutz-Folgenabschätzung (DSFA) ist eine Pflicht nach Artikel 35 DSGVO, nicht nach der KI-Verordnung. Ein Verantwortlicher muss sie vor einer Verarbeitung durchführen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen birgt. Typische Fälle sind KI-Systeme, die Personen profilieren, besondere Datenkategorien in großem Umfang verarbeiten oder öffentliche Bereiche überwachen.
Die KI-Verordnung verweist in Artikel 26 Absatz 9 und Artikel 27 Absatz 4 auf die DSFA. Geldbußen der DSGVO für Verstöße gegen Artikel 35 betragen bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Artikel 83 Absatz 4 DSGVO). Nächster Schritt: Prüfen Sie, ob Ihr System personenbezogene Daten verarbeitet und wer der Verantwortliche ist.
Artikel 35 Absatz 3 DSGVO nennt drei Fälle, in denen eine DSFA erforderlich ist
Systematische und umfassende Bewertung auf Grundlage automatisierter Verarbeitung
Das umfasst die Bewertung persönlicher Aspekte, einschließlich Profiling, auf deren Grundlage Entscheidungen getroffen werden, die Rechtswirkung gegenüber der Person entfalten oder sie in ähnlich erheblicher Weise beeinträchtigen (Artikel 35 Absatz 3 Buchstabe a). Beispiel: Kreditwürdigkeitsprüfung.
Umfangreiche Verarbeitung besonderer Datenkategorien oder von Daten über Straftaten
Das umfasst besondere Kategorien von Daten nach Artikel 9 Absatz 1 DSGVO sowie Daten über strafrechtliche Verurteilungen und Straftaten nach Artikel 10 (Artikel 35 Absatz 3 Buchstabe b). Beispiel: ein KI-System, das Gesundheitsdaten in großem Umfang verarbeitet.
Systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche
Das umfasst die umfangreiche Überwachung öffentlicher Bereiche (Artikel 35 Absatz 3 Buchstabe c). Beispiel: Videoanalyse im öffentlichen Raum.
Die Aufsichtsbehörden veröffentlichen Listen weiterer Verarbeitungsvorgänge, für die eine DSFA erforderlich ist (Artikel 35 Absatz 4 DSGVO).
Eine DSFA hat vier Mindestbestandteile
Beschreibung der Verarbeitung
Eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und ihrer Zwecke, gegebenenfalls einschließlich der berechtigten Interessen, die verfolgt werden (Artikel 35 Absatz 7 Buchstabe a).
Notwendigkeit und Verhältnismäßigkeit
Eine Bewertung, ob die Verarbeitung in Bezug auf die Zwecke notwendig und verhältnismäßig ist (Artikel 35 Absatz 7 Buchstabe b).
Risiken für die betroffenen Personen
Eine Bewertung der Risiken für die Rechte und Freiheiten der Personen, deren Daten verarbeitet werden (Artikel 35 Absatz 7 Buchstabe c).
Maßnahmen gegen die Risiken
Die Garantien, Sicherheitsvorkehrungen und Verfahren, die die Risiken angehen und den Nachweis erbringen, dass die DSGVO eingehalten wird (Artikel 35 Absatz 7 Buchstabe d).
Der Verantwortliche holt außerdem den Rat des Datenschutzbeauftragten ein, sofern ein solcher benannt wurde (Artikel 35 Absatz 2). Er holt gegebenenfalls den Standpunkt der betroffenen Personen oder ihrer Vertreter ein (Artikel 35 Absatz 9). Er überprüft die DSFA mindestens dann, wenn sich das Risiko ändert (Artikel 35 Absatz 11). Zeigt die DSFA ein hohes Risiko, das der Verantwortliche nicht eindämmt, konsultiert er vorab die Aufsichtsbehörde (Artikel 36).
DSFA und FRIA sind getrennte Bewertungen, die Inhalte gemeinsam nutzen können
Unterschiedliche Rechtsakte und Gegenstände
Die DSFA stammt aus der DSGVO und betrifft den Schutz personenbezogener Daten. Die FRIA stammt aus Artikel 27 der KI-Verordnung und betrifft die Grundrechte.
Unterschiedliche Pflichtenträger
Eine DSFA trifft den Verantwortlichen, ob öffentlich oder privat. Die FRIA trifft nur die in Artikel 27 Absatz 1 genannten Betreiber.
Gemeinsame Inhalte
Erfüllt die DSFA bereits eine Pflicht aus Artikel 27, darf die FRIA darauf verweisen oder Teile davon übernehmen (Artikel 27 Absatz 4). Die FRIA muss dennoch jedes Element von Artikel 27 Absatz 1 abdecken.
Was die DSFA-Bewertung von Scanara leistet
Scanara entscheidet nicht, ob eine DSFA erforderlich ist. Das entscheiden Sie als Verantwortlicher gemeinsam mit Ihrem Datenschutzbeauftragten.
Geführte DSFA-Fragen
Ein Fragenkatalog folgt dem Inhalt von Artikel 35 Absatz 7 DSGVO. Sie antworten; Scanara speichert die Antworten als Nachweis und entwirft den DSFA-Bericht.
Antworten aus Scans vorausgefüllt
Wenn Sie ein Repository gescannt haben, füllt Scanara Antworten aus den Scan-Ergebnissen vor. Sie prüfen und korrigieren sie.
Verknüpfung mit der FRIA
Eine FRIA-Bewertung kann auf eine genehmigte DSFA desselben Systems verweisen (Artikel 27 Absatz 4).
Mehr zu den umliegenden Regeln
KI-Verordnung vs. DSGVO: Unterschiede und Überschneidungen
Vergleicht die KI-Verordnung und die DSGVO, auch dort, wo sich DSFA und FRIA überschneiden.
Grundrechte-Folgenabschätzung (FRIA) nach Artikel 27
Erklärt die Bewertung nach der KI-Verordnung, die auf eine DSFA verweisen kann.
Artikel 27: Grundrechte-Folgenabschätzung (FRIA)
Behandelt, welche Betreiber vor der ersten Nutzung die Auswirkungen auf die Grundrechte bewerten müssen.
Häufige Fragen zur DSFA
Verlangt die KI-Verordnung eine DSFA?
Nein. Die Pflicht stammt aus Artikel 35 DSGVO. Die KI-Verordnung verweist nur darauf: Betreiber von Hochrisiko-KI-Systemen nutzen die Informationen des Anbieters nach Artikel 13 gegebenenfalls für ihre DSFA (Artikel 26 Absatz 9).
Ersetzt eine DSGVO-Datenschutz-Folgenabschätzung die FRIA?
Nein. Eine Datenschutz-Folgenabschätzung kann Teile der FRIA liefern, denn Artikel 27 Absatz 4 erlaubt dem Betreiber, darauf zu verweisen oder die einschlägigen Teile zu übernehmen, aber nur für Pflichten aus Artikel 27, die sie bereits erfüllt. Die FRIA muss weiterhin jedes Element aus Artikel 27 Absatz 1 abdecken.
Wann ist für ein KI-System eine DSFA nötig?
Wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen birgt (Artikel 35 Absatz 1 DSGVO). Artikel 35 Absatz 3 nennt drei Fälle, in denen eine DSFA erforderlich ist: systematische und umfassende Bewertung auf Grundlage automatisierter Verarbeitung, umfangreiche Verarbeitung besonderer Datenkategorien oder von Daten über Straftaten und umfangreiche Überwachung öffentlicher Bereiche. Prüfen Sie auch die Liste Ihrer Aufsichtsbehörde.
Was passiert, wenn eine erforderliche DSFA unterbleibt?
Geldbußen von bis zu 10 Mio. EUR oder, im Fall eines Unternehmens, von bis zu 2 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist (Artikel 83 Absatz 4 Buchstabe a DSGVO).
Scanara bereitet Nachweise aus Ihren Repositorien vor
Scanara liest Ihre verbundenen GitHub-Repositorien und führt regelbasierte Scans auf gängige KI- und Machine-Learning-Muster durch. Unübliche Codemuster kann es übersehen. Getrennt davon erzeugt es aus Vorlagen und Ihren Antworten in der Bewertung Dokumentationsentwürfe als Nachweise für Ihre Compliance-Arbeit. Die Einstufung entscheiden Sie.